ウイルス対策ソフト・EDR・MDRの違い：自社にはどれが必要か

要点： ウイルス対策ソフト（アンチマルウェア）は、悪意のあるファイルや挙動が実行される前に止めようとします。EDR（Endpoint Detection and Response）は、各端末で起きたことを記録し、攻撃の検知・調査・封じ込めを人ができるようにします。MDR（Managed Detection and Response）は、EDRに加えて、アラートを見張り対応する専門チームが付いたサービスです。選ぶ基準は「どれが最強か」ではなく、「深夜2時にアラートを誰が見て、何をしてよいか」です。

この記事は、エンドポイント保護を選ぶ経営者や情シス担当者に向けています。読み終えると、三つを同じ観点で比較でき、リスクと人員に応じた五つの選定ルールを当てはめられ、現在の環境が実際に何をしているかを確認できます。

三つの選択肢を観点ごとに比較

どの選択肢も、同じ観点を同じ順番で並べています。

ウイルス対策ソフト（アンチマルウェア）

• できること：ファイルをスキャンし、端末上の挙動を監視して、既知および疑わしいマルウェアを止めます。最近の製品は、シグネチャだけでなく、クラウドへの照会や挙動監視も備えています。
• 記録するもの：主に検知と遮断の結果です。端末で何が起きたかの完全な履歴を残す設計ではありません。
• アラートを見る人：専任は不要です。自動で処理され、担当者はレポートを確認します。
• 対応：検知したものを自動で隔離または削除します。
• 社内に必要なスキル：低い。常に有効にし、更新し、無効化されないようにします。
• 弱点：攻撃者が正規ツールや盗んだ認証情報を使うと検知されないことがあり、事後に調べる材料もほとんど残りません。

Windowsには、Microsoft Defender Antivirusが標準で入っています。Microsoftのドキュメントによると、機械学習とクラウド提供の保護を使い、脅威がすでに実行を始めていても挙動に基づいて止められます（Microsoft Learnで確認、2026年10月28日）。

EDR（Endpoint Detection and Response）

• できること：ウイルス対策を土台にして、端末の動作を継続的に収集し、関連するイベントを一つのインシデントにまとめたアラートを出し、対応操作を行えるようにします。
• 記録するもの：プロセス、ネットワーク、サインイン、レジストリ、ファイルの動作です。Microsoft Defender for Endpointについて、Microsoftはテレメトリを6か月保存し、アナリストが攻撃の開始時点まで遡れると説明しています（Microsoft Learnで確認、2026年10月28日）。Microsoftは、検知は端末上のすべての操作を記録するためのものではないとも述べています。
• アラートを見る人：自社で用意する必要があります。インシデントを読み、判断する人が要ります。
• 対応：端末のネットワーク隔離、スキャンの実行、ファイルのブロックなど、手動または自動の操作です。
• 社内に必要なスキル：中程度から高い。トリアージには判断力が要ります。
• 弱点：夜間に誰も見ないアラートは、攻撃の記録にはなっても、防御にはなりません。

MDR（Managed Detection and Response）

• できること：提供会社のアナリストが、EDR（多くは他のものも）のアラートを24時間体制で監視し、調査して、自ら対応するか、何をすべきかを具体的に伝えます。
• 記録するもの：元のツールと同じテレメトリに加えて、提供会社の調査メモとレポートです。
• アラートを見る人：提供会社のチームです。自社にはエスカレーションが届きます。
• 対応：契約内容しだいです。封じ込めまで自分で実行する提供会社もあれば、助言だけの会社もあります。書面で確認してください。
• 社内に必要なスキル：低い〜中程度。操作を承認し、業務上の判断をする人は必要です。
• 弱点：MDRは、本格的な侵害に対するインシデントレスポンスとは別です。MicrosoftのDefender Experts MDRのドキュメントも、インシデントレスポンスの案件ではないと明記しています（Microsoft Learnで確認、2026年10月28日）。MDRとMSP・MSSPの契約の違いは、MSSP・MSP・MDRの違いをご覧ください。

XDRは、同じ考え方をエンドポイントの外へ広げ、メール、ID、クラウドの信号を端末の信号と突き合わせるものです。製品を比べるときには重要ですが、上のウイルス対策・EDR・MDRの区分はそのまま使えます。

Microsoft自社のプランに含まれるもの

以下の事実は、2026年10月28日にMicrosoft Learnで確認しました。プラン名や構成は変わるため、購入前に自社テナントで確認してください。

• Microsoft Defender for Endpoint Plan 1には、次世代保護（ウイルス対策とアンチマルウェア）、攻撃面の縮小、限られた手動の対応操作が含まれます。手動操作（MicrosoftのEDR概要による）は、ウイルススキャンの実行、デバイスの隔離、ファイルの停止と隔離、ファイルをブロックまたは許可するインジケーターの追加です。単独のサブスクリプションとしても、Microsoft 365 E3の一部としても提供されます。
• Microsoft Defender for Businessは、最大300ユーザーまでの企業向けで、Microsoft 365 Business Premiumに含まれます。Microsoft自身の比較表では、EDR（最適化版）、自動調査と修復、自動攻撃中断が挙げられており、Plan 1にはこれらがありません。ライセンスを確認してください。Business Premiumをお持ちなら、すでにEDRを持っている可能性があります。
• Microsoft Defender for Endpoint Plan 2は、以前は単にDefender for Endpointと呼ばれていたプランで、完全なEDRのプランです。MicrosoftのEDR概要ページはPlan 1とDefender for Businessについて手動の対応操作しか挙げていませんが、Defender for BusinessのページではBusinessにEDR（最適化版）が挙げられています。ライセンスに何が含まれるかは、比較ページで確認してください。
• Microsoft Defender Experts MDRは、別建てのマネージドサービスです。Microsoftは、他のDefender製品とは別に販売されると説明しています。Plan 1はMicrosoft Defenderのワークロードが対象で、Plan 2はMicrosoft Sentinel経由で選ばれた非Microsoftのテレメトリを加え、最低1,500ライセンスが必要です。

価格はMicrosoftの公式価格ページをご覧ください。ここでは引用しません。当社のエンドポイントセキュリティサービスの料金の考え方は、セキュリティサービスの料金をご覧ください。

五つの選定ルール

1. 全員がウイルス対策と攻撃面の縮小を使う。これが基本です。有効で、更新され、集中管理で報告され、ユーザーが止められない状態にします。
2. EDRを買うのは、毎日、1日以内にアラートを読む人がいる場合だけ。その人がいないなら、EDR単体は証拠を残すだけで、防御にはなりません。MDRを選ぶか、EDRはまだ買わないでください。
3. 機密データを扱う、または数日の停止に耐えられず、待機できるセキュリティ担当がいないならMDR。攻撃者は営業時間に合わせてくれないため、これは多くの小規模企業に当てはまります。24時間監視の中身は、セキュリティオペレーションセンターサービスをご覧ください。
4. 当番を回せるセキュリティ担当やシニアの情シスがいて、アラートの調整に割く時間もあるなら、EDRを自社運用。当番が手薄なら、夜間と休日だけMDRを足します。
5. 端末の構成に合わせて選ぶ。サーバー、Mac、モバイル端末も対象に含めます。どのプラットフォームが検知対象で、どれがウイルス対策だけなのかをベンダーに確認します。

さらに二つの要素で判断が一段変わります。リモートで働く人の数と、取引先や保険会社から検知・対応の体制を説明するよう求められているかです。特定の保険会社や取引先が何を受け入れるかは、当社からは答えられません。相手の要求の文面を入手し、上の機能と対応づけてください。

購入前に確認する質問

1. 検知の対象になる端末とOSはどれで、ウイルス対策だけの端末はどれか。
2. テレメトリはどれだけ保存されるか。
3. 夜間は誰に、どのくらいの時間で通知されるか。
4. 提供会社は、こちらに電話せずに、どの対応操作（例：端末の隔離）を実行できるか。
5. 端末がインターネットに繋がらないとき、ツールはどう動くか。
6. 障害調査のために止めるにはどうするか。止めたとき、誰にアラートが飛ぶか。
7. 解約した場合、データとアラートの記録はどうなるか。

よくある失敗

• EDRを買ったが、対応する人がいない。アラートがたまります。対策：購入前に、対応の責任者と対応時間を決める。
• 一台の端末で二つのセキュリティ製品を有効（アクティブ）にしている。互いに干渉します。Microsoft Defender Antivirusが他社製品と共存してパッシブモードで動けるのは、Defender for Endpointに登録済みの端末に限られます。対策：端末ごとに主となるウイルス対策を一つに決める。
• MDRに完全なインシデントレスポンスが含まれると思い込む。対策：封じ込めで提供会社が何をするか、何が別料金かを書面で確認する。
• サーバーや私物利用の端末が対象から漏れる。攻撃者は守りの薄いところを狙います。対策：端末の種類を全部書き出して、対象かどうか確認する。
• ライセンスが含まれていれば有効になっていると思い込む。対策：ライセンス表ではなく、管理コンソールの端末の状態を見る。
• あるアプリが重いという理由で保護を止め、そのまま忘れる。対策：範囲を限った除外にして記録し、四半期ごとに見直す。

正しく動いているかの確認

1. Windows端末でPowerShellを開き、次のコマンドを実行します。Microsoftのドキュメントでは、NormalはMicrosoft Defender Antivirusがアクティブなウイルス対策であること、Passive modeは別の製品が主であること、EDR Block ModeはEDRのブロックモードが有効であることを意味します。

Get-MpComputerStatus | Select-Object AMRunningMode

1. Microsoft Defenderポータルで、想定している端末がすべて一覧にあり、オンボード済みで、最近レポートしていることを確認します。
2. テスト用の端末で、端末のページから「デバイスの分離（Isolate device）」を実行し、ネットワークが切れることを確認してから解除します。各手順にかかった時間を測ります。
3. 提供会社（または自社チーム）に、直近でトリアージしたアラートを見せてもらいます。誰が処理し、どのくらいかかったかを確認します。
4. 改ざん防止（tamper protection）が有効で、ユーザーやマルウェアが保護をこっそり止められないことを確認します。

よくある質問

エンドポイントセキュリティの三つの主な種類は何ですか？

公式の統一された分類はありません。実務的な分け方は、予防（ウイルス対策、アンチマルウェア、攻撃面の縮小）、検知と対応（EDR）、マネージドな対応（MDR。提供会社のチームが見張って動く）の三つです。多くの企業はまず一つ目を整え、リスクと人員に応じて残りを足します。

Microsoft DefenderはEDRですか？

Microsoft Defender Antivirusはウイルス対策ソフトです。Microsoftの比較では、EDRの機能はMicrosoft Defender for Endpoint Plan 2とDefender for Businessにあります。Plan 1は手動の対応操作に限られます。ライセンスにどちらが含まれるかを確認してください。

EDRの例を教えてください。

Microsoft Defender for Endpoint Plan 2が一例です。端末のテレメトリを集め、アラートをインシデントにまとめ、アナリストが調査して、端末の隔離などの対応操作を行えます。

SymantecにEDRはありますか？

製品名とエディションは変わるため、答えはお持ちのSymantecの具体的なエディションとライセンスによります。上の購入前の質問を使い、提供される対応操作、テレメトリの保存期間、アラートを見る人を、ベンダーに書面で確認してください。

ウイルス対策とEDRの違いは何ですか？

ウイルス対策は、認識できる脅威を主に自動で止めます。EDRは端末の動作を記録し、人が調査・対応するための手段を提供しますが、使う人が必要です。

ツールだけでなく、エンドポイント保護を支える人と運用まで任せたい場合は、エンドポイントセキュリティ保護サービスをご覧ください。